Уязвимость отсутствия аутентификации в Siemens SIMATIC IoT2050 Advanced

Siemens ProductCERT опубликовал бюллетень (SSA-834709) о критической уязвимости в устройствах SIMATIC IoT2050 Advanced (6ES7647-0BA00-1YA2) под управлением Industrial OS с установленным Node-RED. Уязвимость, отслеживаемая как CVE-2026-58115, вызвана отсутствием аутентификации в HTTP-интерфейсе Node-RED, что позволяет неаутентифицированным удаленным злоумышленникам создавать вредоносные потоки и выполнять произвольный код на базовом сервере с максимальными привилегиями. Базовый балл CVSS v3.1 составляет 10.0 (критический). Затронуты версии до V4.3.4.1. Компания Siemens рекомендует обновиться до V4.3.4.1 или более поздней версии и предлагает меры по снижению риска, такие как усиление защиты установки Node-RED или удаление Node-RED. Бюллетень был первоначально выпущен 2026-08-11 и повторно опубликован CISA 2026-08-25. Уязвимость затрагивает устройства, развернутые по всему миру, особенно в секторах критической инфраструктуры, включая химическую промышленность, критическое производство, энергетику и транспортные системы.